Do kdy musím nahlásit kybernetický incident podle NIS2?

Prvotní hlášení do 24 hodin od zjištění incidentu, oznámení při významném dopadu do 72 hodin od zjištění (u služeb vytvářejících důvěru už do 24 hodin) a závěrečná zpráva do 30 dnů od podání 72hodinového oznámení. Podává se přes Portál NÚKIB; není-li dostupný, zákon připouští e-mail nebo datovou schránku příslušného orgánu.

Kdo hlásí incident NÚKIB a kdo Národnímu CERT?

Subjekty vyššího režimu hlásí přímo NÚKIB. Subjekty nižšího režimu hlásí Národnímu CERT, ale pouze incidenty s významným dopadem – povinnost existuje v obou režimech.

Musím hlásit každý výpadek systému, nebo jen kybernetický útok?

Hlásí se pouze incidenty s původem v kyberprostoru, u nichž nelze vyloučit úmyslné zavinění. Čistě technický výpadek bez kybernetického původu povinnosti hlášení nepodléhá.

Od kdy fakticky nastupuje povinnost hlásit incidenty?

Do 1 roku od doručení rozhodnutí o registraci – pro první vlnu tedy přibližně v průběhu roku 2026 až začátkem roku 2027. Subjekty regulované již podle předchozího zákona hlásí novým způsobem okamžitě po doručení rozhodnutí o registraci.

Hlášení incidentů NIS2: 24 h, 72 h, 30 dní – postup

Za metodiku ručí Marek Galetka, zakladatel Pravano. Text prošel lidským schválením před zveřejněním.

Hlášení incidentů podle NIS2: 24 hodin, 72 hodin, 30 dní – komu a jak

Zákon č. 264/2025 Sb. zavádí třístupňový systém hlášení kybernetických incidentů s pevnými lhůtami, které nerespektují víkendy ani svátky. Pokud nevíte přesně, co nahlásit, do kdy a kam, riskujete sankce až do výše 250 milionů Kč a – u vyššího režimu – osobní postih statutárního orgánu. Tento článek vám dá přesný postup s čísly paragrafů, reálnými scénáři a rozlišením toho, co platí najisto.

Tento článek je obecná informace, nikoli individuální právní rada. Pro posouzení konkrétní situace vaší firmy doporučujeme odbornou konzultaci.

Co platí najisto od 1. 11. 2025

Zákon č. 264/2025 Sb. je účinný od 1. listopadu 2025. Ruší zákon č. 181/2014 Sb. i vyhlášku č. 82/2018 Sb. a transponuje směrnici (EU) 2022/2555 (NIS2). Povinnost hlásit incidenty je zakotvena v § 15 odst. 1–3 a § 16 odst. 1, 3 a 4 zákona.

Tři lhůty jsou pevné a nepodléhají žádnému prováděcímu aktu:

Prvotní hlášení do 24 hodin od zjištění incidentu.
Oznámení do 72 hodin od zjištění – povinné při incidentu s významným dopadem.
Závěrečná zpráva do 30 dnů od předložení 72hodinového oznámení – nikoli od zjištění incidentu.

Hlášení se podávají přes Portál NÚKIB (§ 16 odst. 4 zákona). Zákon ale zná i náhradní cestu pro případ, že Portál použít nelze: poskytovatel ve vyšším režimu pak zašle hlášení na adresu elektronické pošty NÚKIB určenou pro příjem hlášení incidentů nebo do datové schránky NÚKIB, poskytovatel v nižším režimu na obdobnou adresu nebo do datové schránky Národního CERT. Telefon mezi zákonné kanály nepatří.

Kdo hlásí komu: vyšší vs. nižší režim

Zákon rozlišuje dva režimy povinností (§ 8 zákona č. 264/2025 Sb.) a každý má jiného adresáta hlášení.

Vyšší režim – hlášení NÚKIB

Subjekty zařazené do vyššího režimu hlásí incidenty přímo NÚKIB, a to každý incident splňující podmínky § 15 odst. 1 – bez ohledu na velikost jeho dopadu. Nepodmíněná je ale jen lhůta 24 hodin. Lhůty 72 hodin a 30 dnů se podle § 16 odst. 3 spouštějí teprve tehdy, má-li incident významný dopad na poskytování regulované služby (§ 15 odst. 2), nebo na kybernetický prostor státu – a to, zda jde o druhý případ, sdělí NÚKIB poskytovateli sám, bez zbytečného odkladu a nejpozději do 24 hodin od prvotního hlášení (§ 16 odst. 2).

Do vyššího režimu typicky spadají velké podniky ve většině odvětví. Výjimkou jsou výrobní průmysl (NACE sekce 26–30), potravinářský a chemický průmysl, kde i velký podnik zpravidla patří do nižšího režimu. Dvě výjimky z tohoto pravidla jsou vždy ve vyšším režimu: sériový výrobce osobních automobilů (příloha vyhl. 408/2025, bod 7.4) a provozovatel objektu skupiny B dle zákona o prevenci závažných havárií (bod 9.4).

Nižší režim – hlášení Národnímu CERT

Subjekty nižšího režimu hlásí incidenty Národnímu CERT, a to pouze tehdy, jde-li o incident s významným dopadem. Povinnost existuje – jen je adresována jinému orgánu a vztahuje se na kvalifikovanou kategorii incidentů.

Rozhodovací vodítko:

Jste ve vyšším režimu: prvotní hlášení do 24 hodin podáváte NÚKIB u každého incidentu podle § 15 odst. 1; navazující 72hodinové oznámení a závěrečnou zprávu jen tehdy, jde-li o incident s významným dopadem na službu nebo na kybernetický prostor státu.
Jste v nižším režimu: hlásíte Národnímu CERT, ale pouze incidenty s významným dopadem.
Nevíte, v jakém režimu jste: využijte rychlou prověrku – nejistota vás neochrání před sankcí.

Co se hlásí: definice incidentu podléhajícího povinnosti

Nehlásí se každý výpadek nebo chyba. Povinnost se vztahuje na incidenty splňující tři podmínky zároveň (§ 15 odst. 1 zákona č. 264/2025 Sb.):

Incident se projevil ve stanoveném rozsahu – tedy v aktivech, která jste podle § 12 zákona vymezili jako související s poskytováním regulované služby. Incident mimo stanovený rozsah povinnost hlášení nezakládá.
Incident má původ v kybernetickém prostoru.
Nelze vyloučit úmyslné zavinění – tedy kybernetický útok, nikoli čistě technická porucha bez vnějšího aktéra.

U nižšího režimu přistupuje ještě čtvrtá podmínka: incident musí mít významný dopad na poskytování regulované služby (§ 15 odst. 2).

Výpadek serveru způsobený vadným hardwarem bez jakéhokoli náznaku vnějšího zásahu povinnosti hlášení nepodléhá. Ransomwarový útok, phishingová kampaň s únikem dat nebo DDoS útok na vaši infrastrukturu povinnosti podléhají vždy, pokud jste regulovaným subjektem.

Co znamená „významný dopad“

Významný dopad je kvalifikační kritérium pro 72hodinové oznámení a pro povinnost nižšího režimu vůbec. Zákon jej v § 15 odst. 3 definuje takto: významný dopad má incident, který poskytovateli regulované služby „způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty nebo způsobil nebo může způsobit jiným osobám značnou újmu“. Způsob, jak významnost dopadu vyhodnotit, stanoví pro nižší režim Úřad vyhláškou (tamtéž).

Pokud si nejste jisti, zda dopad je „významný“: hlaste. Zákon nesankcionuje zbytečné hlášení – sankcionuje opomenutí.

Tři lhůty krok za krokem

Krok 1: Prvotní hlášení do 24 hodin

Jakmile zjistíte incident nebo máte důvodné podezření, máte 24 hodin na podání prvotního hlášení přes Portál NÚKIB. V této fázi nemusíte mít kompletní analýzu – jde o včasné upozornění příslušného orgánu.

Co prvotní hlášení obsahuje:

Popis zjištěného incidentu: co, kdy, kde.
Předběžné posouzení rozsahu a dopadu.
Informaci, zda dopad je nebo může být významný.

Lhůta 24 hodin běží od okamžiku zjištění, nikoli od potvrzení útoku nebo dokončení analýzy. Interní diskuse „jestli to nahlásit“ lhůtu nezastavuje.

Krok 2: Oznámení do 72 hodin (při významném dopadu)

Pokud incident má nebo může mít významný dopad, podáváte do 72 hodin od zjištění podrobnější oznámení. Toto oznámení by mělo obsahovat:

Upřesněný popis incidentu a jeho průběhu.
Posouzení dopadu na regulovanou službu.
Přijatá nebo plánovaná opatření k nápravě.
Případné přeshraniční dopady.

Lhůta 72 hodin běží od zjištění incidentu – tedy souběžně s lhůtou 24 hodin, nikoli po ní. Obě lhůty tikají od stejného okamžiku.

Zvláštní pravidlo má jedna skupina: poskytovatel regulovaných služeb vytvářejících důvěru podle přímo použitelného předpisu EU předkládá toto oznámení už do 24 hodin po zjištění incidentu, ne do 72 (§ 16 odst. 3 písm. a) zákona).

Vedle toho může NÚKIB nebo Národní CERT kdykoli vyzvat k průběžné zprávě o podstatných změnách stavu zvládání incidentu (§ 16 odst. 3 písm. b) zákona) – tato zpráva nemá pevnou lhůtu, váže se na výzvu.

Krok 3: Závěrečná zpráva do 30 dnů

Závěrečná zpráva se podává do 30 dnů od předložení 72hodinového oznámení – pozor, nikoli od zjištění incidentu. Pokud jste 72hodinové oznámení podali se zpožděním, lhůta pro závěrečnou zprávu se tím zkracuje – ale pozdní podání 72hodinového oznámení je samo o sobě již porušením povinnosti.

Pokud po uplynutí třicetidenní lhůty incident stále trvá, zákon nedovoluje jen mlčet: předložíte bez zbytečného odkladu po uplynutí lhůty průběžnou zprávu o aktuálním stavu zvládání a teprve poté, nejpozději do 30 dnů ode dne vyřešení incidentu, závěrečnou zprávu (§ 16 odst. 3 písm. c) zákona).

Závěrečná zpráva dokumentuje:

Celkový průběh incidentu a jeho příčiny.
Rozsah skutečného dopadu.
Přijatá opatření a jejich výsledky.
Poučení pro budoucí prevenci.

Kdy povinnost hlásit fakticky nastupuje

Povinnost hlásit incidenty nenastupuje automaticky k 1. 11. 2025. Nabíhá do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4, § 15 odst. 4 zákona č. 264/2025 Sb.). Pro první vlnu registrovaných subjektů to znamená přibližně průběh roku 2026 až začátek roku 2027.

Důležitá výjimka: Subjekty regulované již podle zákona č. 181/2014 Sb. plní v mezidobí staré povinnosti dle vyhlášky č. 82/2018 Sb., ale incidenty hlásí novým způsobem již ode dne doručení rozhodnutí o registraci (§ 71 odst. 1 zákona č. 264/2025 Sb.). Pokud jste byli regulováni před novelou, nečekejte na uplynutí roční lhůty – nový způsob hlášení platí pro vás okamžitě po registraci.

Reálné scénáře z praxe

Scénář 1: E-shop s logistikou (nižší režim, poštovní a kurýrní služby)

Zjistíte v pondělí ráno, že vaše zákaznická databáze byla přístupná z internetu bez autentizace. Nevíte, zda k ní někdo přistoupil. Protože nelze vyloučit úmyslné zavinění a dopad na regulovanou službu je potenciálně významný:

Do 24 hodin podáváte prvotní hlášení Národnímu CERT přes Portál NÚKIB – i bez hotové analýzy.
Do 72 hodin podáváte oznámení s tím, co víte: rozsah expozice, přijatá opatření, odhad dopadu.
Do 30 dnů od podání 72hodinového oznámení dodáváte závěrečnou zprávu s výsledky forenzní analýzy a přijatými opatřeními.

Pokud se ukáže, že k datům nikdo nepřistoupil a dopad nebyl významný, máte to zdokumentováno v závěrečné zprávě. Hlásit jste správně udělali – nejistota v okamžiku zjištění povinnost zakládá.

Scénář 2: Výrobní firma (vyšší režim – sériový výrobce osobních automobilů)

Ransomwarový útok zašifruje část výrobní linky. Útok zjistíte v pátek večer.

Do 24 hodin – tedy do soboty večer – podáváte prvotní hlášení NÚKIB.
Do 72 hodin – do pondělí večer – podáváte oznámení s popisem rozsahu, přijatými opatřeními a odhadem dopadu na výrobu.
Do 30 dnů od podání 72hodinového oznámení podáváte závěrečnou zprávu.

Lhůty nerespektují víkendy ani svátky. Přístup k Portálu NÚKIB a oprávnění k podání hlášení musí být zajištěny nepřetržitě – ne jen v pracovní době.

Sankce za neplnění povinnosti hlášení

Neplnění povinnosti hlásit incidenty je přestupkem s citelnou sazbou:

Vyšší režim: až 250 milionů Kč nebo 2 % čistého celosvětového ročního obratu – platí vyšší z obou hodnot (§ 59 odst. 4 zákona č. 264/2025 Sb.).
Nižší režim: až 175 milionů Kč nebo 1,4 % čistého celosvětového ročního obratu.

Nad rámec pokut může NÚKIB u vyššího režimu uplatnit osobní postih člena statutárního orgánu – dočasný zákaz výkonu funkce, pokud opakované nebo závažné porušení povinností zmařilo splnění nápravného rozhodnutí Úřadu (§ 56 odst. 1, § 58 zákona č. 264/2025 Sb.). Zákaz trvá nejméně 6 měsíců a zapisuje se do obchodního rejstříku. Výkon funkce navzdory zákazu je samostatným přestupkem s pokutou do 20 milionů Kč (§ 60 odst. 1 písm. h) ve spojení s odst. 7 písm. d) zákona).

Akční plán 30/60/90 dní

Prvních 30 dní: připravenost na hlášení

Ověřte, zda vaše firma je nebo bude regulovaným subjektem a v jakém režimu (vyšší/nižší) – využijte rychlou prověrku.
Zřiďte nebo ověřte přístup k Portálu NÚKIB pro osoby odpovědné za kybernetickou bezpečnost – otestujte přihlášení ještě před tím, než incident nastane.
Určete interně, kdo má pravomoc a povinnost podávat hlášení, a kdo ho zastupuje v jeho nepřítomnosti (dovolená, nemoc, víkend).
Nastavte interní eskalační postup: kdo koho informuje, jakmile je incident zjištěn, a kdo rozhoduje o podání hlášení.

30–60 dní: procesy a dokumentace

Vypracujte interní šablonu prvotního hlášení – co zaznamenat v prvních hodinách – a šablonu 72hodinového oznámení.
Definujte interní kritéria pro posouzení „významného dopadu“ ve vaší konkrétní regulované službě; konzultujte s osobou pověřenou kybernetickou bezpečností.
Otestujte celý postup na simulovaném scénáři (tabletop exercise) – projděte lhůty nanečisto, včetně víkendového scénáře.
Zajistěte mobilní přístup k Portálu NÚKIB pro klíčové osoby – incident se nestane vždy v úterý dopoledne.

60–90 dní: integrace do provozu

Zapracujte povinnost hlášení do smluv s klíčovými dodavateli IT a bezpečnostních služeb – musí vás informovat o incidentech na jejich straně v čase, který vám umožní dodržet vlastní lhůty.
Proveďte školení vrcholného vedení o povinnostech hlášení a osobní odpovědnosti statutárního orgánu – zejména o riziku zákazu výkonu funkce.
Nastavte pravidelný přehled stavu bezpečnostních opatření s vazbou na povinnost hlášení; frekvenci určete podle rizikovosti vaší regulované služby.

Časté omyly

Omyl 1: „Lhůta 30 dní běží od zjištění incidentu.“

Závěrečná zpráva se podává do 30 dnů od předložení 72hodinového oznámení, nikoli od zjištění. Pokud 72hodinové oznámení podáte se zpožděním, lhůta pro závěrečnou zprávu se tím zkracuje – ale pozdní podání 72hodinového oznámení je samo o sobě již porušením povinnosti. Obě pochybení se sčítají.

Omyl 2: „Nižší režim nemusí hlásit nic – to je jen pro velké firmy.“

Nižší režim má povinnost hlásit incidenty s významným dopadem Národnímu CERT. Povinnost existuje, jen je adresována jinému orgánu a vztahuje se na kvalifikovanou kategorii incidentů. Ignorování této povinnosti je přestupkem se sankcí až 175 milionů Kč nebo 1,4 % čistého celosvětového ročního obratu, podle toho, která částka je vyšší.

Omyl 3: „Povinnost hlásit platí pro všechny od 1. 11. 2025.“

Pro nově registrované subjekty povinnost nastupuje až do 1 roku od doručení rozhodnutí o registraci. Výjimkou jsou subjekty regulované již podle předchozího zákona – ty hlásí novým způsobem okamžitě po doručení rozhodnutí o registraci, bez čekání na roční lhůtu. Záměna těchto dvou skupin je nejčastější příčinou mylného pocitu, že „ještě nic neplatí“.

Chcete vědět, zda se vás povinnost hlášení incidentů týká a v jakém rozsahu? Využijte rychlou prověrku.

Zdroje

Zákon č. 264/2025 Sb., o kybernetické bezpečnosti – § 15 odst. 1–3, § 16 odst. 1, 3, 4 (hlášení incidentů); § 13 odst. 4, § 15 odst. 4 (nabíhání povinností); § 56 odst. 1, § 58 (osobní postih); § 59 odst. 4 (sankce); § 71 odst. 1 (přechodná ustanovení) – https://www.zakonyprolidi.cz/cs/2025-264
Vyhláška č. 408/2025 Sb. (odvětví a režimy) – příloha, body 7.4 a 9.4 – https://www.zakonyprolidi.cz/cs/2025-408
Směrnice (EU) 2022/2555 (NIS2) – čl. 23 (hlášení incidentů) – CELEX 32022L2555

Shrnutí

Systém hlášení incidentů podle zákona č. 264/2025 Sb. stojí na třech pevných lhůtách: 24 hodin od zjištění (prvotní hlášení), 72 hodin od zjištění (oznámení při významném dopadu) a 30 dní od podání 72hodinového oznámení (závěrečná zpráva). Vyšší režim hlásí NÚKIB, nižší režim Národnímu CERT – ale pouze incidenty s významným dopadem. Hlásí se přes Portál NÚKIB; není-li Portál k dispozici, zákon připouští e-mail nebo datovou schránku NÚKIB (vyšší režim), respektive Národního CERT (nižší režim). Povinnost fakticky nastupuje do 1 roku od doručení rozhodnutí o registraci; pro dříve regulované subjekty platí nový způsob hlášení okamžitě po registraci. Sankce za neplnění dosahují až 250 milionů Kč a u vyššího režimu hrozí i osobní postih statutárního orgánu zápisem zákazu výkonu funkce do obchodního rejstříku. Připravenost – přístupy k Portálu NÚKIB, šablony, eskalační postup, nepřetržitá dostupnost – je nutné vyřešit dříve, než incident nastane.